Linda examina el hackeo a Binance y las preguntas en torno al ataque

La creadora de la comunidad de Cardano, Linda, ha examinado la brecha de seguridad de Binance en un nuevo video, cuestionando cómo los atacantes movieron miles de millones de dólares mientras revisaba la respuesta del exchange y la investigación sobre los responsables.

Su análisis sigue a la estimación de Binance de que aproximadamente 6.3 mil millones de dólares se vieron afectados por el ataque del 29 de octubre. Linda también aborda la especulación de que la brecha fue un trabajo interno, a la vez que presenta las conclusiones de los investigadores que apuntan a un grupo de hackers norcoreano.

Preguntas sobre los controles de seguridad de Binance

Linda se enfoca en la sugerencia inicial de que la brecha podría haber involucrado una laptop comprometida perteneciente a un ingeniero de DevOps de Binance. Se pregunta cómo un atacante pudo obtener acceso a sistemas capaces de mover una cantidad tan grande y si las salvaguardas debieron haber detenido los retiros antes.

El video también incluye una actualización posterior del CEO de Binance, Richard Teng. En la declaración que presenta Linda, Teng explica que los investigadores habían identificado puntos adicionales de intrusión y describe el incidente como un ataque complejo.

Según esa actualización, los atacantes usaron mecanismos que destruían herramientas y rastros mientras operaban, lo que dificultó la investigación. Los hallazgos posteriores indican que la brecha no puede reducirse a una sola laptop comprometida.

Linda también aborda la explicación de Teng sobre cómo los atacantes obtuvieron una aprobación de ejecución que involucró una billetera de Binance conectada a internet. La actualización se refiere a EIP-7702, un mecanismo de Ethereum que permite que una cuenta delegue la ejecución a código de contrato inteligente. Según la declaración mostrada en el video, la delegación no pasó por los controles de aprobación normales de Binance.

Cómo los atacantes movieron los fondos

Linda describe una secuencia rápida de transacciones después de que los retiros no autorizados comenzaron el 29 de octubre. Según su relato, la mayoría de los activos afectados se movieron en aproximadamente 20 minutos.

Los emisores de stablecoins Tether y Circle comenzaron a bloquear direcciones asociadas con los atacantes. Tales restricciones pueden impedir que los tokens afectados se sigan moviendo, aunque congelar activos es distinto de recuperarlos y devolverlos.

Linda explica que los atacantes depositaron USDT robados en el protocolo de préstamos Aave y lo usaron como colateral para pedir prestado ETH. También describe que stablecoins robadas se cambiaron por ETH antes de que se bloquearan algunas direcciones receptoras.

ETH no tiene un emisor central capaz de congelar tokens en una dirección de la misma manera que los emisores de USDT y USDC. Linda usa las transacciones para mostrar cómo los atacantes se movieron entre activos mientras se llevaban a cabo los esfuerzos de congelamiento.

Su video también destaca una observación de Chainalysis de que miles de transacciones parecían circular fondos entre direcciones, a veces devolviéndolos a direcciones involucradas antes en la secuencia. Linda relaciona el patrón con la automatización y los esfuerzos por oscurecer el rastro de los fondos.

Aave restringió temporalmente los nuevos depósitos y los préstamos como precaución. Linda señala que los usuarios aún podían retirar fondos y devolver préstamos, mientras que cambios posteriores dejaron a USDT, USDC y varios otros activos con una relación préstamo a valor de cero, lo que impidió su uso como colateral para nuevos préstamos.

[NEWSBREAK]

Especulación sobre un trabajo interno y la investigación

Linda aborda la especulación en línea de que la brecha pudo haber involucrado a personas internas. Describe sus preguntas sobre la magnitud del robo y el enfoque inicial en la laptop de un empleado, pero no presenta pruebas que establezcan un trabajo interno.

También examina hallazgos que apuntan en otra dirección. Según el análisis presentado en su video, la firma de inteligencia blockchain TRM Labs atribuyó el ataque a Trader Traitor, un grupo vinculado a Corea del Norte. Linda describe el relato de la firma sobre preparativos que comenzaron al menos 36 horas antes del robo, incluida la configuración y las pruebas de billeteras.

Linda hace referencia a hallazgos de Chainalysis y del investigador ZachXBT sobre conexiones entre fondos del incidente de Binance y un hackeo previo de Bitget asociado con atacantes norcoreanos. En el momento de su grabación, señala, Binance no había confirmado oficialmente quién llevó a cabo el ataque.

El video también cubre el compromiso de Binance de cubrir las pérdidas. En una declaración mostrada por Linda, el exchange dijo que había reservado más de 6.34 mil millones de dólares de fondos de la compañía, con alrededor de 5 mil millones ya mantenidos en los mismos tipos de activos afectados.

Desde entonces, Binance ha comenzado a restaurar los retiros por fases. El 1 de noviembre, el exchange empezó a reabrir el servicio para una selección de activos y redes, con una disponibilidad que varía según el token y la blockchain.